Sanzione da 20 milioni a Clearview per il “riconoscimento facciale”

Una delle nuove frontiere della tecnologia è il cosiddetto riconoscimento facciale, una tecnica biometrica atta ad identificare in modo univoco una persona confrontando e analizzando modelli basati sui suoi “contorni facciali”,  e oggi sempre più utilizzata non solo per scopi di sicurezza (ad esempio al servizio delle forze dell’ordine), ma anche in molti altri ambiti della vita quotidiana, principalmente a fini commerciali.

Multa record all’americana Clearview AI per il suo “monitoraggio biometrico”

Si tratta però anche di una prassi molto rischiosa al riguardo della necessaria tutela della privacy delle persone e infatti il Garante per la Protezione dei darti personali, con comunicazione del 9 marzo 2022, ha dato conto di una sanzione record di venti milioni di euro alla società americana Clearview AI, per aver messo in atto un vero e proprio monitoraggio biometrico anche di persone che si trovano nel territorio italiano.

La società, che dichiara di possedere un database di oltre dieci miliardi di immagini di volti di persone di tutto il mondo, estratte da fonti web pubbliche tramite web scraping (come siti di informazione, social media e video online), offre un servizio di ricerca altamente qualificata che, grazie a sistemi di intelligenza artificiale, consente la creazione di profili basati sui dati biometrici estratti dalle immagini, eventualmente arricchiti da altre informazioni ad esse correlate, come titolo e geolocalizzazione della foto, pagina web di pubblicazione.

La società consentiva il tracciamento anche di cittadini italiani

Dall’istruttoria del Garante, attivata anche a seguito di reclami e segnalazioni, è emerso che Clearview AI, diversamente da quanto affermava, consente in realtà il tracciamento anche di cittadini italiani e di persone collocate in Italia. Le risultanze hanno rivelato che i dati personali detenuti dalla società, inclusi quelli biometrici e di geolocalizzazione, sono trattati illecitamente, senza un’adeguata base giuridica, che non può sicuramente essere il legittimo interesse della società americana.

Innumerevoli le violazioni riscontrate

Essa, inoltre, violato altri principi base del GDPR, come quelli relativi agli obblighi di trasparenza, non avendo adeguatamente informato gli utenti, di limitazione delle finalità del trattamento, avendo utilizzato i dati degli utenti per scopi diversi rispetto a quelli per i quali erano stati pubblicati online e di limitazione della conservazione, non avendo stabilito tempi di conservazione dei dati. L’attività di Clearview AI, pertanto, a giudizio del Garante si pone in violazione delle libertà degli interessati, tra cui la tutela della riservatezza e il diritto a non essere discriminati.

I provvedimenti del Garante per la Protezione dei dati Personali

Alla luce delle violazioni riscontrate, il Garante ha pertanto comminato a Clearview AI, come detto, una sanzione amministrativa di 20 milioni di euro. L’Autorità ha, inoltre, ordinato alla società di cancellare i dati relativi a persone che si trovano in Italia e ne ha vietato l’ulteriore raccolta e trattamento attraverso il suo sistema di riconoscimento facciale.

Il Garante ha infine imposto a Clearview AI di designare un rappresentante nel territorio dell’Unione europea che funga da interlocutore, in aggiunta o in sostituzione del titolare del trattamento dei dati con sede negli Stati Uniti, al fine di agevolare l’esercizio dei diritti degli interessati.